Redis ACL 用户权限不足时怎么定位具体命令

Redis 报错 NOPERM 时，不要先把用户改成 +@all。最短的定位路径是：先执行 ACL WHOAMI 确认当前连接是谁，再用 ACL GETUSER 用户名 查看有效规则，最后用 ACL DRYRUN 用户名 命令 参数 原样模拟失败请求。这样能把“权限不足”拆成具体的命令权限、键模式权限或认证身份问题。

官方地址：https://redis.io/docs/latest/operate/oss_and_stack/management/security/acl/

先确认请求到底使用了哪个 ACL 用户

连接池、默认用户和双参数 AUTH 很容易让排查方向跑偏。Redis 6 起支持 AUTH 用户名 密码，但只传一个密码时，兼容行为仍然是以 default 用户认证。先在发生错误的同一类连接上执行：

# 查看当前连接绑定的 ACL 用户，避免把客户端配置当成实际身份
redis-cli -h 127.0.0.1 -p 6379 ACL WHOAMI

如果返回的是 default，而应用以为自己使用的是 cache_reader，先修正客户端的认证参数或连接复用逻辑。否则后面看到的规则即使正确，也不是这条请求实际使用的规则。

把权限拆成命令、键和认证三层

确认用户名后，用管理员连接读取有效配置。ACL GETUSER 会返回 flags、密码哈希、commands、keys、channels 和 selectors；用户名区分大小写。不要只看 commands，因为 GET cache:42 同时需要允许执行 GET，并且 key pattern 能匹配 cache:42。

# 读取有效规则；输出里的密码哈希不要复制到工单或文章
redis-cli -h 127.0.0.1 -p 6379 ACL GETUSER cache_reader

Redis ACL 规则按从左到右解释，且 Redis 7 支持用 selectors 给不同命令集合配不同键模式。另一个容易忽略的边界是：~tenant:* 只限制带明确键参数的命令，不能阻止 FLUSHALL 这类作用于整个数据库的命令，因此危险命令仍应显式移除。

用 ACL DRYRUN 复现同一条命令

手工对照规则很适合初筛，但多键命令、子命令和 selectors 组合时，直接模拟更可靠。ACL DRYRUN 从 Redis 7.0 提供，语法是用户名、命令和完整参数；它模拟权限判断，不执行命令的副作用。

# 用完整参数分别模拟成功、键不匹配和命令未授权三种情况
redis-cli ACL DRYRUN cache_reader GET cache:42
redis-cli ACL DRYRUN cache_reader GET user:42
redis-cli ACL DRYRUN cache_reader SET cache:42 value

示例中的第一条若返回 OK，只能说明该用户具备执行这次 GET 的权限，不代表 key 一定存在。第二条若提示无法访问参数中的 key，说明命令可能已允许，但键模式不匹配；第三条若提示没有运行 set 的权限，则应补命令规则，而不是扩大 key pattern。

从 ACL LOG 还原线上失败原因

如果问题已经发生，管理员可以查看最近的 ACL 安全事件：

# 读取最近 10 条拒绝事件；生产环境先保留输出再决定是否清理
redis-cli ACL LOG 10

reason 为 auth 表示认证失败，command 表示命令被拒绝，key 表示键权限不匹配，channel 则对应发布订阅频道。结合 username、object 和 context，可以判断是哪个用户、哪个对象以及是否发生在事务或脚本上下文中。ACL LOG 默认只返回最近的一小段事件，不能替代应用侧按请求记录用户名和命令模板。

修复时只补最小权限并复测

例如只允许读取 cache: 前缀，规则可以写成：

# 仅允许读取 cache: 前缀；密码应通过受控配置注入，不要硬编码到脚本
ACL SETUSER cache_reader on ~cache:* +get
# 修改后模拟目标请求，确认命令和 key 两层都匹配
ACL DRYRUN cache_reader GET cache:42

若要允许写入，应明确增加 +set，不要用 +@all 代替。线上采用 ACL 文件时，修改文件后使用 ACL LOAD，并记住 CONFIG REWRITE 不会自动触发 ACL SAVE。最后用应用实际连接复测一次，并清楚记录规则变更的用户、命令与 key 范围。

常见问题

ACL GETUSER 返回空值怎么办？

先检查用户名拼写和大小写；不存在的用户会返回 nil，而不是一组默认规则。

ACL DRYRUN 会读取或改动 key 吗？

不会。它只模拟指定用户执行给定命令的权限判断，适合先验证写命令，但不能证明业务数据存在。

有了 ~cache:* 还需要限制 FLUSHALL 吗？

需要。数据库级命令没有具体 key 参数，不受 key pattern 约束，应显式移除这类危险命令。

排查 Redis ACL 的关键不是找到一条“万能授权语句”，而是把连接身份、命令集合和键范围逐项对齐；每次只改一个权限维度，定位结果才可复盘。